Kas notiek bez piekrišanas: Reāli sodi un gadījumu izpēte
Domājat, ka piekrišanas baneri ir neobligāti? Domājat, ka pietiek ar vienkāršu sīkdatņu paziņojumu? Regulatori nepiekrīt — un viņiem ir pierādījumi. Kopš GDPR stāšanās spēkā 2018. gadā datu aizsardzības iestādes visā Eiropā un ārpus tās ir piemērojušas vairāk nekā 4,5 mljrd. EUR sodu. Daudzi no tiem bija tieši saistīti ar trūkumiem derīgas lietotāju piekrišanas vākšanā.
Šeit ir patiesie gadījumi, patiesie skaitļi un ko tie nozīmē jūsu uzņēmumam.
Lielākie ar piekrišanu saistītie sodi vēsturē
Meta (Facebook/Instagram) -- Īrija, 2023
Īrijas DPC konstatēja, ka Meta pārsūtīja ES lietotāju datus uz ASV bez derīgiem juridiskiem mehānismiem un pienācīgas piekrišanas. Tas joprojām ir lielākais jebkad piemērotais GDPR sods. Meta tika arī sodīta ar 390 milj. EUR 2023. gada janvārī par to, ka piespiedu kārtā lika lietotājiem pieņemt personalizētu reklāmu kā Facebook un Instagram izmantošanas nosacījumu — acīmredzams "brīvprātīgi sniegtas" piekrišanas prasības pārkāpums.
Amazon -- Luksemburga, 2021
Amazon tika sodīts par personas datu apstrādi mērķtiecīgai reklamai bez atbilstošas lietotāju piekrišanas. Luksemburgas datu aizsardzības iestāde (CNPD) konstatēja, ka Amazon reklāmu mērķēšanas sistēma neatbilst GDPR piekrišanas prasībām.
Google -- Francija (CNIL), 2022
CNIL sodīja Google, jo tā sīkdatņu piekrišanas mehānisms vietnēs google.fr un youtube.com ļāva viegli pieņemt visas sīkdatnes ar vienu klikšķi, bet to noraidīšanai bija nepieciešami vairāki klikšķi. Šis asimetriskais dizains — noraidīšanas apgrūtināšana salīdzinājumā ar pieņemšanu — tika atzīts par "brīvprātīgi sniegtas" piekrišanas principa pārkāpumu.
TikTok -- Īrija, 2023
TikTok tika sodīts par bērnu personas datu apstrādi bez atbilstošiem piekrišanas un pārredzamības pasākumiem. DPC konstatēja, ka bērnu konti pēc noklusējuma bija iestatīti kā publiski un platformas privātuma iestatījumi nebija pietiekami pieejami.
Criteo -- Francija (CNIL), 2023
Reklāmas tehnoloģiju uzņēmums tika sodīts par miljonu lietotāju pārlūkošanas datu vākšanu, izmantojot izsekošanas sīkdatnes, nepierādot, ka ir iegūta derīga piekrišana. CNIL konstatēja, ka Criteo nevar pierādīt derīgu piekrišanas ķēdi no vietnēm, kurās tika ievietotas sīkdatnes.
Ne tikai lielie tehnoloģiju uzņēmumi: Mazo uzņēmumu sodi
Neuzskatiet, ka sodi paredzēti tikai tehnoloģiju gigantiem. Datu aizsardzības iestādes visā Eiropā regulāri soda mazos un vidējos uzņēmumus par piekrišanas pārkāpumiem:
- Spānijas AEPD: Regulāri piemēro 2 000–60 000 EUR sodus maziem uzņēmumiem par sīkdatņu izvietošanu bez piekrišanas vai trūkstošas sīkdatņu politikas.
- Itālijas Garante: Sodīja nelielu e-komercijas vietni ar 20 000 EUR par Google Analytics izmantošanu bez derīgiem piekrišanas pārsūtīšanas mehānismiem.
- Francijas CNIL: Sodīja veselības vietni ar 150 000 EUR par sensitīvu datu vākšanu, izmantojot veidlapas bez skaidras piekrišanas.
- Austrijas DSB: Nosprieda, ka Google Analytics izmantošana bez piekrišanas ir nelikumīga, izveidojot precedentu, kas ietekmēja tūkstošiem uzņēmumu.
- Beļģijas DPA: Sodīja IAB Europe ar 250 000 EUR par TCF piekrišanas virknes problēmām, demonstrējot, ka pat piekrišanas ietvars pats par sevi ir pakļauts izpildei.
Ārpus sodiem: Slēptās izmaksas
Finansiālie sodi ir tikai aisberga redzamā daļa. Patiesais kaitējums bieži ietver:
- Reputācijas kaitējums: GDPR sodi ir publiski pieejami. Jūsu zīmols tiek saistīts ar privātuma pārkāpumiem ziņu atspoguļojumā un meklēšanas rezultātos.
- Reklāmas ieņēmumu zaudēšana: Bez sertificēta CMP Google var ierobežot reklāmu rādīšanu EEZ. Izdevēji ziņojuši par 30–70% ieņēmumu kritumu, kad viņu piekrišanas iestatījumi neatbilst prasībām.
- Juridiskās izmaksas: Aizstāvēšanās pret sūdzībām, atbildēšana uz DPA izmeklēšanām un datu prakses pārstrukturēšana var izmaksāt simtiem tūkstošu juridiskajās maksās.
- Darbības traucējumi: DPA var likt pilnībā pārtraukt datu apstrādi, kamēr nav sasniegta atbilstība — tādējādi efektīvi slēdzot jūsu tiešsaistes uzņēmumu.
- Kolektīvās prasības risks: GDPR ļauj kolektīvas juridiskas darbības. Patērētāju organizācijas Austrijā, Francijā un Vācijā ir cēlušas kolektīvās prasības pret uzņēmumiem par piekrišanas pārkāpumiem.
Visbiežāk pieļautās piekrišanas kļūdas, kas noved pie sodiem
- Iepriekš atzīmētas piekrišanas rūtiņas: GDPR to skaidri aizliedz. Piekrišanai jābūt apstiprinošai darbībai.
- Sīkdatņu sienas: Piekļuves saturam bloķēšana, ja vien lietotāji nepieņem visas sīkdatnes, nav "brīvprātīgi sniegta" piekrišana.
- Asimetriskas pogas: "Pieņemt" padarīšana redzamu, vienlaikus slēpjot vai samazinot "Noraidīt", pārkāpj brīvprātīgi sniegtas piekrišanas principu.
- Apvienotā piekrišana: Vairāku mērķu piekrišanas apvienošana vienā "Pieņemt" darbībā liedz lietotājiem konkrētu izvēli, uz kuru viņiem ir tiesības.
- Nav atsaukšanas mehānisma: Ja lietotāji nevar viegli mainīt vai atsaukt savu piekrišanu, visa jūsu piekrišanas vākšana ir spēkā neesoša.
- Trūkstoši piekrišanas ieraksti: Bez laika zīmogu žurnāliem, kas parāda, kas, kad un kam deva piekrišanu, jūs nevarēsiet pierādīt atbilstību revīzijas laikā.
- Izsekošana pirms piekrišanas: Analītikas, reklāmu pikseļu vai mārketinga skriptu ielāde pirms lietotājs izdara izvēli ir visbiežākais — un vieglāk nosakāmais — pārkāpums.
Kā regulatori konstatē neatbilstību
Datu aizsardzības iestādes negaida tikai sūdzības. Tās aktīvi skenē vietnes, izmantojot automatizētus rīkus, kas atklāj:
- Sīkdatnes, kas iestatītas pirms jebkādas piekrišanas mijiedarbības
- Trūkstošus vai nepilnīgus piekrišanas banerus
- Nederīgas vai beigušās piekrišanas virknes
- Izsekošanas skriptus, kas aktivizējas pirms piekrišanas reģistrēšanas
- Asimetriski banera dizaini, kas dod priekšroku pieņemšanai
Piemēram, Francijas CNIL ir skenējis tūkstošiem vietnu un izdevis desmitiem sodu, balstoties tikai uz automatizētu atklāšanu — bez jebkādām lietotāju sūdzībām.
Kā izskatās pareiza piekrišana 2026. gadā
Lai izvairītos no sodiem un aizsargātu savu uzņēmumu, jūsu piekrišanas ieviešanai jā:
- Bloķē visas nebūtiskās sīkdatnes un skriptus līdz skaidras piekrišanas sniegšanai
- Nodrošina vienādu vizuālo svaru pieņemšanas un noraidīšanas iespējām
- Ļauj detalizēti izvēlēties pēc sīkdatņu kategorijas (analītikas, mārketinga, funkcionālajām)
- Glabā piekrišanas ierakstus ar laika zīmogiem un lietotāju identifikatoriem
- Atbalsta IAB TCF 2.3 programmatiskajai reklamai
- Integrē Google Consent Mode V2 atbilstošai reklāmu rādīšanai
- Ļauj viegli atsaukt piekrišanu jebkurā laikā
- Tiek rādīts lietotāja valodā
Kā FlexyConsent aizsargā jūs
FlexyConsent ir izveidots īpaši, lai novērstu iepriekš aprakstītos pārkāpumus:
- Automātiska skriptu bloķēšana: Izsekošana netiek uzsākta pirms piekrišanas sniegšanas
- Atbilstošs banera dizains: Vienādas pieņemšanas/noraidīšanas pogas, bez tumšajiem modeļiem
- Auditam gatavi žurnāli: Katrs piekrišanas lēmums reģistrēts ar laika zīmogiem
- Google sertificēts CMP: Atbilst Google prasībām EEZ reklāmu rādīšanai
- IAB TCF 2.3: Derīgas piekrišanas virknes programmatiskajai reklamai
- Consent Mode V2: Natīvā Google integrācija mērīšanas nepārtrauktībai
- 43 valodas: Automātiska lokalizācija globālajiem apmeklētājiem
- Ģeogrāfiskā mērķēšana: Reģionam piemēroti baneri GDPR, CCPA, LGPD un citiem